Skip to content

MS_AzureBackup

Jump to bottom
nishi_74322014 edited this page Aug 19, 2026 · 1 revision

Azure Backup

概要

Azure Backup で、様々なサーバーおよびワークロードを保護できる。

  • 定期的にバックアップしておくことが重要。

    • 設定を変更したところ OS が起動しなくなった。
    • 誤って重要なファイルを消してしまった。
    • アプリのバグによりデータベースのデータが破損してしまった。

  • 主要な Azure Backup の利用形態に以下 3 種類がある。

    • VM のバックアップ
    • オンプレミスの VM や DB のバックアップ
    • ファイルやフォルダのバックアップ

※ 複数の機能（VM復元ポイントなど）が統合された
　 ソリューション的なもの。

補足（3 兄弟の使い分け）: Azureの障害復旧 に並ぶ
3 つの機能は、守る対象と復旧時間が異なる。

VM復元ポイント Azure Backup Azure Site Recovery
目的 作業前の退避（アドホック） 定期バックアップと長期保管 リージョン障害からの事業継続
保管先 同一リージョンのスナップショット リカバリ サービス コンテナー 別リージョンに常時レプリケーション
RPO 取得時点 数時間〜1 日 数分
RTO ディスク作成 ＋ VM 再作成 復元処理の時間 フェールオーバーで即時
主な用途 パッチ適用前など 誤削除・データ破損・監査要件 災害対策（DR）

バックアップは DR の代わりにならず、DR はバックアップの代わりにならない。
Site Recovery は「壊れたデータもそのまま複製する」ため、
ランサムウェアや誤削除には Backup が必要になる。

詳細

対象

バックアップは、リカバリ・サービス・コンテナに取得する。

Azure VM

  • ポータルから簡単に構成・操作できる。

  • VM のディスクをまるごとバックアップ。

  • これ以外の選択肢

    • 即時バックアップを行う場合は、
      管理ディスクのスナップショット作成機能を使用。
      （ただし、VSS は使用しないのでファイル不整合の可能性）

Azure VM 内のファイル

  • ファイル、フォルダ、システム状態をバックアップ。
    （リカバリ・サービス・コンテナに取得）

  • これ以外の選択肢

Azure VM 内の SQL Server

MARS エージェント ＋ SQL Server のバックアップ。
（リカバリ・サービス・コンテナに取得）

補足（最新化）: 現在は **「Azure VM 内の SQL Server のバックアップ」**という
専用のワークロード バックアップがあり、
MARS エージェントではなくワークロード拡張機能で構成する。
ログ バックアップ（15 分間隔）による
ポイントインタイム リストアに対応している点が大きい。
同様に SAP HANA 用のワークロード バックアップも提供されている。

Azure VM 内の各種サーバ

MARS エージェント ＋ 各種バックアップ機構。
（リカバリ・サービス・コンテナに取得）

Azure 管理ディスク（Azureのディスク ストレージ）

...。

Azure ファイル共有

...。

オンプレ

MARS エージェント ＋ MABS / SC DPM で
オンプレの VM のバックアップも可能。

コンポーネント

Microsoft Azure Backup Server (MABS)

  • アプリケーション対応スナップショット (VSS)

    • エージェントがインストールされる

    • 取得したバックアップ・データは、MARS で
      リカバリ・サービス・コンテナに転送される。

  • 稼働中にオンラインでバックアップ取得可能（VSS）

    • バックアップ取得は非同期で行われる
      即時でのバックアップではない、かなり時間がかかる。

    • Windows にも Linux にも対応

      • Windows の場合は、アプリ整合性スナップショットを取得
      • Linux の場合は、ファイル整合性スナップショットを取得

  • 暗号化されている場合もバックアップ取得が可能

  • オンプレの VM のバックアップも可能。

Microsoft Azure Recovery Services (MARS) Agent

  • バックアップ・データを、
    リカバリ・サービス・コンテナに取得する部分の実装

    • エージェントがインストールされる。

    • 閉域構成でもバックアップ取得が可能
      （隠し経路を利用しリカバリ・サービス・コンテナに）

  • オンプレミスのバックアップを
    リカバリ・サービス・コンテナに転送可能。

補足（「隠し経路」について）: Azure VM のバックアップは、
VM の NIC を経由せずプラットフォーム内部の経路でコンテナーへ転送される。
このため、アウトバウンドを Azure Firewall で
全面的に絞った閉域構成でも VM バックアップは動作する
（後述の「経路制限は不要」はこの意味）。

一方、MARS エージェント（オンプレミスやファイル単位のバックアップ）は
通常のネットワーク経路を使うため、
プロキシ／ファイアウォールの許可が別途必要になる。
現在は Private Endpoint を使って
リカバリ サービス コンテナー自体を閉域化することもできる。

System Center DPM

  • オンプレの VM のバックアップも可能。
  • SC の場合、MABS の代わりに利用。

リストア（復元）の仕組み

  • リカバリ・サービス・コンテナのバックアップを、
    ステージング・ストレージにロードし、ディスクをリストア（復元）する。

  • ディスクをリストア（復元）したのちに VM をリストア（復元）する。

現在の VM にリストア（復元）

ディスクを差し替える。

別 VM としてリストア（復元）

新規に VM を作成、場所は問わない。

ファイルのリストア（復元）

ディスクを追加でマウント、セキュリティに注意。

補足: 「ファイルの復元」は、復元用スクリプトを実行して
バックアップ内のディスクを iSCSI で一時マウントする仕組み。
このとき経路（アウトバウンド）が必要になるため、
後述のとおり「ファイルの復元機能では経路開放が必要」となる。
また、マウント中はそのディスクの内容に誰でもアクセスできるため、
作業端末の管理と、作業後の速やかなアンマウントが重要。

セキュア化とロックダウン

作業内容の安全性の確認

  • 入力制御（インバウンド）
    本機能の入力が、IaaS から見て出力なので、経路制限（特定経路の開放）について。

    • 最新の VM バックアップでは、明示的な経路制限は不要（自動的）
    • オンプレ バックアップでは、明示的な経路制限が必要

  • ハードニング（クライアント or サーバ）

    • 透過的暗号化
      • リカバリ・サービス・コンテナ内のデータは暗号化されている。
      • バックアップのリストア（復元）処理をしない限りはアクセスできない。

  • 出力制御（アウトバウンド）
    本機能への出力が、IaaS から見て入力なので、経路開放について。

    • 入力制御と同様に、明示的な経路開放は不要（自動的）
    • ファイルの復元機能では経路開放が必要

変更・保守、作業の一覧化

バックアップ・データにアクセスできるため、
セキュリティ的に権限付与が重要になる。

  • バックアップ

    • Backup Contributor
      バックアップの作成・管理

    • Backup Operator
      Contributor から以下の権限を取ったもの

      • バックアップ削除
      • ポリシー作成変更

    • Backup Reader
      バックアップの監視を行う

  • リストア（復元）

    • VM Contributor ロールが必要
    • NIC 作成が必要な場合は Network Contributor ロールが必要

補足（ランサムウェア対策）: 「バックアップを消されたら終わり」という
リスクに対し、現在は次の機能がある。

機能 内容
論理的な削除（Soft delete） 削除したバックアップを一定期間（既定 14 日）保持し、復旧可能にする
不変コンテナー（Immutable vault） 保持期間の短縮や削除自体を禁止する。有効化後はロックできる
多要素認証（MFA）による重要操作の保護 バックアップの停止・削除に追加認証を要求

原文の Backup Operator による権限分離（削除権限を与えない）と
組み合わせることで、「VDC で最も多い事故」とされる
オペミス・内部不正への備えになる。

参考

Microsoft Learn

Tags: 移行, インフラストラクチャ, クラウド, Azure, バックアップ, 障害対応

このWikiは「Open棟梁Project」,「OSSコンソーシアム 開発基盤部会」によって運営されています。

NetDevInfraWiki

マイクロソフト系技術情報 Wiki
Open 棟梁 Wiki

（未着手）

開発基盤部会 Wiki

移行管理: DONE ／ TODO

Clone this wiki locally